情報セキュリティマネジメント 2025年 科目A 問03
問題文
ゼロトラストの説明として、最も適切なものはどれか。
選択肢
ア：機器やソフトウェアの脆弱性のうち、開発元から対策方法、修正プログラムなどが提供されていない脆弱性が残っている状態のこと
イ：内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと（正解）
ウ：秘密情報そのものは明かさずに、自分が秘密情報を知っていることを相手に知らせる方法のこと
エ：マルウェア定義ファイルを用いず、PCの振る舞いからマルウェア感染を検知する手法のこと
🔒 解説は解答すると表示されます
ゼロトラスト【情報セキュリティマネジメント解説】
正解の理由
選択肢イは「内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方」を説明しています。これがゼロトラスト（Zero Trust）の本質です。ゼロトラストは「社内だから安全」「VPNでつながっているから信頼できる」といった従来の暗黙の信頼をやめ、すべてのアクセスを常に検証して最小限の権限だけを与えることで被害を抑える考え方です。
具体的には、ユーザと端末の身元確認、アクセスごとの認可、通信の細かい区分け（マイクロセグメンテーション）やログ監視を組み合わせます。これにより、内部からの侵害や認証情報の漏えいがあっても被害を限定できます。
具体的には、ユーザと端末の身元確認、アクセスごとの認可、通信の細かい区分け（マイクロセグメンテーション）やログ監視を組み合わせます。これにより、内部からの侵害や認証情報の漏えいがあっても被害を限定できます。
（補足：MFA（Multi-Factor Authentication：多要素認証。複数の手段で本人確認する仕組み）やMDM（Mobile Device Management：端末管理）などがゼロトラストの実装でよく使われます。）
解法ステップ
- 問題文のキーワードを探す：「内部ネットワークであっても必ずしも安全ではない」といった文言を探す。
- 各選択肢を定義と照らし合わせる：ゼロトラストの定義は「暗黙の信頼を置かない」こと。
- 最も合致する選択肢を選ぶ：暗黙の信頼に反する説明があれば正解候補。
- 残りの選択肢が別の用語を表していないか確認する（混同を防ぐ）。
この手順で、選択肢イが定義に直接合致することが確認できます。
選択肢別の誤答解説
- ア: 「機器やソフトウェアの脆弱性で、修正プログラムが提供されていない状態」は、一般に「ゼロデイ脆弱性（zero-day vulnerability）」と呼ばれます。ゼロトラストの説明ではありません。
- ウ: 「秘密情報そのものを明かさずに、自分が秘密情報を知っていることを知らせる方法」は「ゼロ知識証明（zero-knowledge proof）」です。暗号や認証の概念であってゼロトラストとは別物です。
- エ: 「マルウェア定義ファイルを用いず、PCの振る舞いから感染を検知する手法」は「振る舞い検知」や「行動ベースの検知」です。ゼロトラストはネットワークやアクセス制御の考え方で、これとも異なります。
よくある誤解
- 誤解1: 「ゼロトラストは全く信頼しないこと」
→ 実際は「完全に信頼しない姿勢」を意味しますが、都度検証し条件に応じて一時的に信頼（アクセス許可）を与えます。完全遮断ではありません。 - 誤解2: 「ゼロトラストは技術だけの話」
→ 技術（認証・ネットワーク制御）は重要ですが、運用ルール、ポリシー、教育、委託先管理と組み合わせることが必要です。 - 誤解3: 「導入すれば即座に安全になる」
→ 段階的な導入と優先順位付け（重要資産の保護から始める）が現実的です。
補足コラム
職場でのイメージ：人事データにアクセスする場合、社内PCからでも「誰が」「どの端末で」「どのアプリで」「どの時間に」アクセスしているかを確認します。個人のスマホや未管理端末からのアクセスは制限し、必要なら一時的なアクセスだけ許可します。
導入のシンプルな第一歩例：
導入のシンプルな第一歩例：
- 高権限アカウントにMFAを必須化する。
- 重要データへは条件付きアクセス（デバイス状態や場所で判定）を設定する。
- ネットワークを小さな区画に分け、横移動を難しくする（マイクロセグメンテーション）。
優先は「重要データ」「管理者権限」「外部接続経路」からです。
FAQ
Q1: ゼロトラストは中小企業でも必要ですか？
A1: 必要性は資産とリスク次第です。予算は限られていても、まずはMFAと端末管理から始めることで効果が得られます。
A1: 必要性は資産とリスク次第です。予算は限られていても、まずはMFAと端末管理から始めることで効果が得られます。
Q2: VPNは不要になりますか？
A2: 必ずしも不要ではありません。VPNを使いながら、追加でゼロトラストのアクセス制御や強い認証を導入するケースが多いです。
A2: 必ずしも不要ではありません。VPNを使いながら、追加でゼロトラストのアクセス制御や強い認証を導入するケースが多いです。
Q3: どれくらいで導入できますか？
A3: フル導入は数ヶ月〜年単位。重要資産から段階的に進めるのが現実的です。
A3: フル導入は数ヶ月〜年単位。重要資産から段階的に進めるのが現実的です。
Q4: ゼロトラストだけで全ての攻撃を防げますか？
A4: いいえ。ゼロトラストは防御を強化しますが、完全無欠ではありません。監視・検知・対応の仕組みも必要です。
A4: いいえ。ゼロトラストは防御を強化しますが、完全無欠ではありません。監視・検知・対応の仕組みも必要です。
関連キーワード: ゼロトラスト、最小権限、マイクロセグメンテーション、MFA（多要素認証）、条件付きアクセス、ID管理、MDM（端末管理）、ゼロデイ脆弱性、ゼロ知識証明、振る舞い検知
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！